Cloud-Datensicherheit

Cloud-Datensicherheit deckt Daten in drei Zuständen ab. Ruhende Daten liegen in Cloud-Speicher- und Collaboration-Diensten. Daten bei der Übertragung bewegen sich zwischen Geräten, dem Firmennetz und diesen Diensten. Die Kontrollebene umfasst Konten, Rollen, Schlüssel und Protokollierung. Sie entscheidet, wer auf die Daten zugreift und ob sich dieser Zugriff nachweisen lässt.

Der Umfang hängt vom Servicemodell ab. Bei Infrastructure as a Service verwaltet der Kunde Betriebssysteme, Anwendungen und die meisten Einstellungen der Datenebene. Bei Software as a Service betreibt der Anbieter nahezu alles, und der Kunde verwaltet vor allem Identitäten und die Rechte der Nutzer. Je mehr beim Anbieter liegt, desto mehr wird das Risiko zu einer Frage der Konfiguration und des Nutzerverhaltens.

Jeder Cloud-Speicherdienst, einschließlich seiner Web-Version, lässt sich auf den Modus Zugriff, Audit oder Shadow-Copy setzen. Das Modul zur Steuerung von Cloud-Speichern wendet diese Modi getrennt auf jeden Dienst an.

1 / 2

• 
• 

Jeder große Anbieter veröffentlicht ein Modell der geteilten Verantwortung. Der Anbieter ist für die Cloud selbst verantwortlich: Hardware, physische Sicherheit und Verfügbarkeit. Der Kunde bleibt für die Daten in der Cloud verantwortlich: Klassifizierung, Zugriffsentscheidungen, Konfiguration und das, was Nutzer in den Diensten tun. Kein Anbieter deckt einen öffentlich offen gelassenen Container, einen falsch gerichteten Freigabelink oder einen Mitarbeiter ab, der Datensätze auf ein privates Konto exportiert.

Die meisten Vorfälle mit Cloud-Daten entstehen nicht durch ein Versagen des Anbieters. Sie passieren, wenn der Kunde annimmt, der Anbieter habe etwas erledigt, das in seiner eigenen Verantwortung lag. Der erste Schritt jedes Programms ist, die Verantwortungsmatrix jedes Dienstes auf die eigenen Kontrollen der Organisation abzubilden.

Fehlkonfiguration ist durchgängig die häufigste Ursache für die Offenlegung von Daten in der Cloud. Cloud-Umgebungen ändern sich schneller als Prüfzyklen, Ressourcen entstehen für einen Sprint oder eine Migration, und die Ausnahme wird dauerhaft. Die wiederkehrenden Muster:

Mitarbeiter übernehmen Cloud-Dienste schneller, als Sicherheitsteams sie freigeben können, und genau diese Lücke ist der Kern von Shadow IT. Beispiele sind eine Notiz-App oder ein privates Cloud-Speicherkonto, mit dem eine große Datei über eine langsame Verbindung verschickt wird. Shadow SaaS ist selten böswillig, sondern Bequemlichkeit. Doch jeder nicht sanktionierte Dienst ist ein Kanal, über den Unternehmensdaten die genehmigte Grenze verlassen, außerhalb der Protokollierungs- und Aufbewahrungsregeln.

Die Schwierigkeit ist die Sichtbarkeit. Ein Dienst im Browser sieht aus wie gewöhnlicher Web-Traffic, ein Sync-Client wie jede andere Anwendung. Programme verbinden die Inventarisierung der tatsächlich genutzten Dienste mit einer Richtlinie für das Zulässige und mit Kontrollen der Übertragung selbst. Ziel ist, zu erkennen, wann Arbeitsdaten in einen nicht sanktionierten Dienst hochgeladen werden.

In diesem Bereich wirken mehrere Kontrollfamilien, darunter Cloud DLP und Endpoint-DLP. Ein reifes Programm braucht meist mehr als eine, weil jede einen anderen Teil des Problems sieht:

Beginnen Sie bei den Diensten, die bereits die sensibelsten Daten halten, und kartieren Sie dann die Upload-Wege, die Mitarbeiter tatsächlich nutzen. Eine Kontrollliste, die für alle Cloud-Dienste auf einmal geschrieben wird, blockiert meist die normale Arbeit und wird abgeschaltet. Anexet DLP setzt diese Kontrollen am Endpoint an, wo der Upload beginnt, und hält den Audit-Trail auf der Infrastruktur des Kunden.

Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Das Konzept von „Zero Trust“.